搜索

[4844] 2018-02-17_LogMeinDNS流量藏恶意软件，靶向攻击PoS系统

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-02-17_LogMeinDNS流量藏恶意软件，靶向攻击PoS系统 L o g M e i n D N S 流 量 藏 恶 意 软 件 ， 靶 向 攻 击 P o S 系 统 原 创   E 安 全   E 安 全   2 0 1 8 - 0 2 - 1 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 2 月 1 7 日 讯 ， 上 周 四 ， 网 络 安 全 公 司 F o r c e p o i n t 研 究 人 员 罗 伯 特 · 纽 曼 与 卢 克 · 萨 摩 威 尔 在 一 篇 博 文 中 表 示 ， 某 一 名 为 U D P o S 的 新 型 恶 意 软 件 家 族 试 图 将 自 身 伪 装 为 合 法 服 务 ， 从 而 避 免 在 传 输 实 效 数 据 时 被 检 测 发 现 。 这 种 罕 见 的 恶 意 软 件 可 将 自 身 伪 装 为 L o g M e i n 服 务 包 以 隐 藏 其 异 常 流 量 ， 从 而 隐 藏 针 对 客 户 数 据 的 进 行 盗 窃 。 U D P o S   恶 意 软 件 瞄 准 信 用 卡 信 息 恶 意 软 件 瞄 准 信 用 卡 信 息 U D P o S   的 新 型 恶 意 软 件 家 族 试 图 将 自 身 伪 装 为 合 法 服 务 — — L o g M e i n   服 务 包 ， 这 一 伪 造 “ 服 务 包 “ 能 够 生 成 ” 非 同 寻 常 的 D N S 请 求 数 量 。 网 络 安 全 公 司   F o r c e p o i n t   进 一 步 调 查 后 发 现 ， 该   L o g M e I n   系 统 实 际 上 属 于   P o S   恶 意 软 件 。 L o g M e I n 是 什 么 ？ 是 什 么 ？ L o g M e I n   是 一 套 合 法 的 远 程 访 问 系 统 ， 这 套 系 统 能 远 程 管 理 P C 及 其 它 系 统 。 P o S   恶 意 软 件 隐 藏 在 负 责 处 理 并 可 能 存 储 信 用 卡 信 息 的 系 统 当 中 ， 例 如 餐 厅 、 商 店 等 使 用 的 支 付 系 统 。 一 旦 销 售 点 系 统 （ 即 P o S 机 ） 受 到 感 染 ， 则 其 可 利 用   D E X T E R   或   B l a c k P O S   等 恶 意 软 件 窃 取 信 用 卡 磁 条 上 包 含 的 支 付 数 据 ， 而 后 通 过 命 令 与 控 制 （ 简 称 C & C ） 服 务 器 将 这 些 信 息 发 送 给 幕 后 操 纵 者 。
这 部 分 信 用 卡 信 息 随 后 会 被 用 于 通 过 创 建 复 制 卡 、 清 除 银 行 帐 户 甚 至 用 于 实 现 身 份 盗 用 。 攻 击 过 程 分 析 攻 击 过 程 分 析 2 0 1 3 年 ， 美 国 零 售 商 T a r g e t 公 司 就 曾 遭 遇   P o S   恶 意 软 件 侵 袭 ， 并 导 致 约 1 . 1 亿 客 户 的 信 用 卡 信 息 被 盗 。 F o r c e P o i n t 方 面 将 这 项 困 难 的 调 查 工 作 称 为 “ 大 海 捞 针 ” ， 此 次 新 型   U D P o S   恶 意 软 件 会 利 用 以   L o g M e I n   为 主 题 的 文 件 名 以 及   C & C   U R L   来 隐 藏 其 基 于   D N S   的 传 输 流 量 。 该 恶 意 软 件 的 样 本 之 一 名 为   l o g m e i n u m o n . e x e ， 其 接 入 某 台 托 管 于 瑞 士 的   C & C   服 务 器 ， 且 包 含 一 个 负 责 将 提 取 内 容 的 提 取 器 以 及 释 放 至 临 时 目 录 的 自 解 压 文 件 。 之 后 该 样 本 还 将 创 建 一 个   L o g M e I n U p d S e r v i c e   目 录 ， 同 时 配 合 一 项 系 统 服 务 便 可 让 监 控 组 件 发 挥 作 用 。 研 究 人 员 们 表 示 ， “ 该 监 控 组 件 与 服 务 组 件 拥 有 几 乎 相 同 的 结 构 。 其 由 同 样 的 V i s u a l   S t u d i o 版 本 进 行 编 译 ， 且 采 用 相 同 的 字 符 串 编 码 技 术 ： 两 个 可 执 行 文 件 只 包 含 一 些 可 识 别 的 纯 文 本 字 符 串 ， 且 采 用 基 本 加 密 与 编 码 方 法 以 隐 藏 字 符 串 内 容 — — 例 如 C & C 服 务 器 、 文 件 名 以 及 硬 编 码 进 程 名 称 。 ” 该 监 控 组 件 不 仅 持 续 追 踪 受 感 染 的 系 统 进 程 ， 同 时 还 会 检 查 反 病 毒 保 护 与 虚 拟 机 。 一 切 收 集 到 的 数 据 — — 例 如 客 户 信 用 卡 信 息 — — 都 将 被 伪 装 成   L o g M e I n   的   D N S   流 量 进 行 发 送 。 潜 在 影 响 范 围 潜 在 影 响 范 围 研 究 人 员 们 指 出 ， “ 几 乎 所 有 企 业 都 设 有 防 火 墙 及 其 它 保 护 手 段 ， 用 以 监 控 并 过 滤 基 于   T C P   以 及   U D P   的 通 信 内 容 。 然 而 ， D N S 仍 然 会 被 区 别 对 待 ， 这 就 给 数 据 渗 漏 提 供 了 良 好 的 机 会 。 ” F o r c e p o i n t 公 司 强 调 称 ， 使 用   L o g M e I n   主 题 主 题 只 是 一 种 伪 装 恶 意 软 件 活 动 的 方 式 。 在 调 查 结 果 披 露 之 后 ， 目 前 尚 无 证 据 表 明 已 经 发 生 产 品 或 服 务 滥 用 事 件 。 目 前 尚 不 清 楚 此 恶 意 软 件 是 否 被 广 泛 利 用 。 不 过 恶 意 软 件 的 编 辑 时 间 戳 记 录 为 2 0 1 7 年 1 0 月 2 5 日 ， 因 此 其 很 可 能 是 一 种 相 对 较 新 的 攻 击 产 物 。 然 而 ， 研 究 人 员 们 表 示 有 证 据 表 明 其 属 于 “ 某 早 期 英 特 尔 主 题 主 题 的 变 种 ” ， 这 表 明 U D P o S 很 可 能 只 是 原 恶 意 软 件 的 下 一 个 发 展 阶 段 。 其 经 过 调 整 以 重 新 指 向 不 同 的 攻 击 目 标 与 受 害 者 群 体 。 用 户 注 意 用 户 注 意 L o g M e I n 就 此 次 事 件 作 出 以 下 声 明 ： “ 相 关 链 接 、 文 件 或 可 执 行 文 件 并 非 来 自 L o g M e I n ， L o g M e I n 产 品 的 各 项 更 新 — — 包 括 补 丁 与 更 新 等 — — 将 始 终 以 安 全 方 式 在 产 品 内 交 付 。 ” “ 我 们 绝 对 不 会 与 您 直 接 联 系 并 要 求 您 更 新 软 件 ， 亦 不 会 向 您 提 供 包 含 指 向 新 版 本 或 更 新 的 附 件 或 链 接 的 消 息 。 ” 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 3 7 9 9 3 7 8 0 9 . s h t m l
推 荐 阅 读 ： D H S 关 键 基 础 设 施 “ 信 息 共 享 平 台 ” 还 有 这 些 功 能 D H S 已 黑 进 波 音 7 5 7 ， 商 用 飞 机 还 安 全 吗 ？ 重 磅 ！ 美 国 D H S   2 4 . 6 万 员 工 信 息 泄 露 每 天 扫 描 3 8 0 0 万 次 ， D H S 入 侵 式 防 御 成 常 态 美 国 D H S 推 出 新 的 “ 供 应 链 风 险 管 理 计 划 ” 美 D H S 发 布 《 约 束 性 操 作 指 令 1 8 - 0 1 》 F B I 和 D H S 在 响 应 网 络 攻 击 时 为 何 存 在 分 歧 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理